THE GHOST IN YOUR NETWORK: ค้นหาความเสี่ยงที่ซ่อนอยู่ในเครือข่าย ก่อนผู้โจมตีจะพบ

ภัยไซเบอร์ที่อันตรายที่สุด อาจไม่ใช่ภัยที่องค์กรเห็นอยู่ตรงหน้า แต่เป็นช่องโหว่ อุปกรณ์ที่ถูกลืม และความเสี่ยงที่ซ่อนอยู่ในระบบโดยไม่มีใครสังเกต

ในยุคที่องค์กรต้องพึ่งพาระบบ IT, Cloud, Applications และอุปกรณ์ที่เชื่อมต่อกับเครือข่ายจำนวนมาก พื้นที่เสี่ยงต่อการโจมตีทางไซเบอร์ (Attack Surface) จึงขยายตัวอย่างต่อเนื่อง ขณะเดียวกัน ระบบที่ไม่ได้รับการดูแลอย่างทั่วถึง ช่องโหว่ที่ยังไม่ได้รับการแก้ไข และทรัพย์สินดิจิทัลที่ทีม IT ไม่ทราบว่ามีอยู่ อาจกลายเป็นจุดเริ่มต้นของการโจมตีได้

ลองจินตนาการว่ามีอุปกรณ์หนึ่งเครื่องที่ยังเชื่อมต่อกับเครือข่ายองค์กร แต่ไม่มีใครตรวจสอบมานาน หรือมีช่องโหว่ในระบบที่ยังไม่ได้รับการแก้ไขเพราะไม่ทราบถึงความเสี่ยง สิ่งเหล่านี้เปรียบเสมือน “Ghost in Your Network” ภัยที่ซ่อนอยู่ในเครือข่ายและอาจถูกค้นพบโดยผู้โจมตีก่อนที่องค์กรจะรู้ตัว

คำถามสำคัญจึงไม่ใช่เพียงว่าองค์กรมีระบบรักษาความปลอดภัยอะไรบ้าง แต่คือ องค์กรรู้หรือไม่ว่ามีความเสี่ยงอะไรซ่อนอยู่ และกำลังจัดการความเสี่ยงเหล่านั้นได้อย่างมีประสิทธิภาพหรือไม่?

1. 3 ความเสี่ยงที่ซ่อนอยู่ในเครือข่ายองค์กร

1.1 อุปกรณ์และทรัพย์สินดิจิทัลที่ไม่ได้รับการดูแล (Unmanaged Assets)

องค์กรอาจมีอุปกรณ์ เซิร์ฟเวอร์ ระบบ Cloud หรือแอปพลิเคชันที่ไม่ได้อยู่ในรายการทรัพย์สิน IT ที่ทีมงานติดตามอย่างครบถ้วน สาเหตุอาจเกิดจากการเปลี่ยนแปลงระบบ การเพิ่มอุปกรณ์ใหม่ หรือการใช้งานบริการที่อยู่นอกกระบวนการบริหารจัดการตามปกติ

เมื่อทรัพย์สินเหล่านี้ไม่ได้รับการตรวจสอบและอัปเดตอย่างเหมาะสม องค์กรอาจไม่ทราบว่ามีระบบใดเปิดให้เข้าถึงจากภายนอก มีช่องโหว่ใดที่ต้องแก้ไข หรือมีการตั้งค่าความปลอดภัยที่ไม่เหมาะสมหรือไม่

แนวทางรับมือ: จัดทำและปรับปรุงรายการทรัพย์สินดิจิทัลอย่างสม่ำเสมอ พร้อมตรวจสอบสถานะการอัปเดต การตั้งค่าความปลอดภัย และการเปิดเผยบริการต่อเครือข่ายภายนอก

1.2 ช่องโหว่ที่ยังไม่ได้รับการแก้ไข (Unpatched Vulnerabilities)

ซอฟต์แวร์และระบบปฏิบัติการที่ไม่ได้รับการอัปเดตอาจมีช่องโหว่ที่ผู้โจมตีสามารถใช้เป็นช่องทางในการเข้าถึงระบบได้ อย่างไรก็ตาม ช่องโหว่แต่ละรายการไม่ได้มีระดับความเสี่ยงเท่ากัน และการพิจารณาเฉพาะคะแนนความรุนแรงทางเทคนิคอาจไม่เพียงพอสำหรับการตัดสินใจ

องค์กรควรพิจารณาปัจจัยต่าง ๆ ร่วมกัน เช่น ความสามารถในการถูกโจมตีจากระยะไกล การมีโค้ดโจมตีที่ใช้งานได้จริง การถูกนำไปใช้โจมตีในสถานการณ์จริง ความสำคัญของระบบ และผลกระทบต่อธุรกิจ

แนวทางรับมือ: ตรวจสอบช่องโหว่อย่างต่อเนื่อง จัดลำดับความสำคัญในการแก้ไขตามความเสี่ยง และติดตามผลหลังการแก้ไข เพื่อให้มั่นใจว่าช่องโหว่ได้รับการจัดการอย่างเหมาะสม

1.3 ความเสี่ยงที่มองไม่เห็น (Hidden Security Risks)

ความเสี่ยงขององค์กรไม่ได้จำกัดอยู่แค่ช่องโหว่ของซอฟต์แวร์ แต่อาจรวมถึงการตั้งค่าระบบที่ไม่ปลอดภัย สิทธิ์การเข้าถึงที่มากเกินความจำเป็น บริการที่เปิดเผยต่ออินเทอร์เน็ตโดยไม่เหมาะสม และการเชื่อมต่อระหว่างระบบที่ทำให้ผู้โจมตีสามารถขยายขอบเขตการโจมตีได้

หากแต่ละทีมมองเห็นเฉพาะระบบที่ตนเองรับผิดชอบ องค์กรอาจไม่สามารถประเมินความเสี่ยงที่เชื่อมโยงกันได้อย่างครบถ้วน

แนวทางรับมือ: รวบรวมข้อมูลความเสี่ยงจากหลายแหล่ง วิเคราะห์ความสัมพันธ์ระหว่างทรัพย์สิน ช่องโหว่ และความสำคัญทางธุรกิจ พร้อมกำหนดกระบวนการติดตามและจัดการความเสี่ยงอย่างต่อเนื่อง

2. Exposure Management คืออะไร?

Exposure Management คือแนวทางการบริหารจัดการความเสี่ยงจากการเปิดเผยทรัพย์สินและช่องทางที่อาจถูกโจมตี โดยช่วยให้องค์กรค้นหา ประเมิน จัดลำดับความสำคัญ และจัดการความเสี่ยงที่อาจส่งผลกระทบต่อระบบและธุรกิจ

แทนที่จะมองช่องโหว่แต่ละรายการแยกจากกัน Exposure Management ช่วยให้องค์กรมองภาพรวมของความเสี่ยงได้ชัดเจนขึ้น โดยพิจารณาทั้งทรัพย์สินดิจิทัล ช่องโหว่ การตั้งค่าระบบ และบริบทที่เกี่ยวข้องกับโอกาสในการถูกโจมตี

เป้าหมายไม่ใช่เพียงการค้นหาปัญหาให้ได้มากที่สุด แต่คือการช่วยให้ทีมรักษาความปลอดภัยตัดสินใจได้ว่า ความเสี่ยงใดควรได้รับการจัดการก่อน เพื่อช่วยลดโอกาสและผลกระทบจากการโจมตีทางไซเบอร์

3. Exposure Management แตกต่างจาก Vulnerability Management อย่างไร?

ทั้งสองแนวทางมีความเกี่ยวข้องกัน แต่มีขอบเขตและจุดเน้นที่แตกต่างกัน

• Vulnerability Management: เน้นการค้นหา ประเมิน จัดลำดับความสำคัญ และแก้ไขช่องโหว่ในระบบหรือซอฟต์แวร์

• Exposure Management: มองภาพรวมความเสี่ยงจากการเปิดเผยทรัพย์สินและช่องทางการโจมตี โดยพิจารณาช่องโหว่ร่วมกับบริบทของทรัพย์สิน การตั้งค่าระบบ และปัจจัยความเสี่ยงอื่น ๆ ที่เกี่ยวข้อง

ตัวอย่างเช่น ระบบหนึ่งอาจมีช่องโหว่ระดับความรุนแรงสูง แต่ไม่ได้เปิดให้เข้าถึงจากภายนอก ขณะที่อีกระบบหนึ่งอาจมีช่องโหว่ที่มีคะแนนความรุนแรงต่ำกว่า แต่เปิดเผยต่ออินเทอร์เน็ตและเชื่อมต่อกับข้อมูลสำคัญขององค์กร

การพิจารณาบริบทเหล่านี้ช่วยให้องค์กรจัดลำดับการแก้ไขได้เหมาะสมยิ่งขึ้น ทั้งนี้ การจัดลำดับความสำคัญควรอาศัยข้อมูลที่ตรวจสอบได้ ไม่ใช่สมมติว่าระบบใดระบบหนึ่งปลอดภัยเพียงเพราะไม่ได้เปิดเผยต่ออินเทอร์เน็ต

4. 4 ขั้นตอนในการบริหารจัดการความเสี่ยงด้วย Exposure Management

ขั้นตอนที่ 1: Discover — ค้นหาทรัพย์สินและความเสี่ยง

สำรวจทรัพย์สินดิจิทัลที่เกี่ยวข้องกับองค์กร ทั้งระบบภายใน Cloud อุปกรณ์ปลายทาง และบริการที่เปิดเผยต่อภายนอก เพื่อสร้างภาพรวมว่ามีอะไรอยู่ในสภาพแวดล้อม IT บ้าง

ขั้นตอนที่ 2: Assess — ประเมินและจัดลำดับความสำคัญ

วิเคราะห์ช่องโหว่ การตั้งค่าที่ไม่ปลอดภัย และปัจจัยที่อาจเพิ่มโอกาสหรือผลกระทบจากการโจมตี โดยพิจารณาความสำคัญของทรัพย์สินและบริบททางธุรกิจร่วมด้วย

ขั้นตอนที่ 3: Remediate — จัดการและลดความเสี่ยง

ดำเนินการแก้ไขช่องโหว่ ปรับปรุงการตั้งค่าระบบ จำกัดการเข้าถึง หรือใช้มาตรการลดความเสี่ยงอื่น ๆ ตามความเหมาะสม พร้อมกำหนดผู้รับผิดชอบและระยะเวลาการดำเนินงานที่ชัดเจน

ขั้นตอนที่ 4: Monitor — ติดตามอย่างต่อเนื่อง

ตรวจสอบทรัพย์สินและความเสี่ยงที่เปลี่ยนแปลงไปหลังจากการแก้ไข รวมถึงค้นหาความเสี่ยงใหม่ที่อาจเกิดขึ้นเมื่อมีการเพิ่มระบบ เปลี่ยนแปลงการตั้งค่า หรือขยายโครงสร้างพื้นฐาน IT

กระบวนการทั้งสี่ขั้นตอนควรดำเนินการอย่างต่อเนื่อง เพราะการแก้ไขช่องโหว่ในวันนี้ไม่ได้หมายความว่าองค์กรจะไม่มีความเสี่ยงใหม่เกิดขึ้นในอนาคต

5. ทำไมองค์กรจึงควรให้ความสำคัญกับ Exposure Management?

การบริหารจัดการความเสี่ยงอย่างเป็นระบบช่วยให้องค์กรสามารถ:

• มองเห็นความเสี่ยงได้ชัดเจนขึ้น: ลดช่องว่างในการรับรู้เกี่ยวกับทรัพย์สินและจุดอ่อนในระบบ

• จัดลำดับความสำคัญได้ดีขึ้น: ใช้ข้อมูลความเสี่ยงและบริบททางธุรกิจประกอบการตัดสินใจ

• ใช้ทรัพยากรได้อย่างเหมาะสม: มุ่งเน้นการแก้ไขปัญหาที่สำคัญ แทนการดำเนินการโดยพิจารณาจากจำนวนช่องโหว่เพียงอย่างเดียว

• สนับสนุนการทำงานร่วมกัน: ช่วยให้ทีม Security, IT และผู้เกี่ยวข้องเข้าใจความเสี่ยงและความรับผิดชอบร่วมกัน

• ติดตามการลดความเสี่ยงได้ต่อเนื่อง: ตรวจสอบความคืบหน้าและประเมินว่ามาตรการที่ดำเนินการช่วยลดความเสี่ยงได้ตามเป้าหมายหรือไม่

อย่างไรก็ตาม Exposure Management ไม่ใช่เครื่องมือที่รับประกันว่าจะป้องกันการโจมตีได้ทั้งหมด แต่เป็นส่วนหนึ่งของกระบวนการบริหารความเสี่ยงที่ช่วยให้องค์กรตัดสินใจและจัดการความเสี่ยงได้อย่างมีประสิทธิภาพยิ่งขึ้น

6. ค้นหาจุดอ่อนก่อนที่ผู้โจมตีจะพบ

ในโลกของ Cybersecurity การไม่พบความเสี่ยงไม่ได้หมายความว่าไม่มีความเสี่ยงเสมอไป บางครั้งสิ่งที่อันตรายที่สุดอาจเป็นทรัพย์สินหรือช่องโหว่ที่องค์กรยังไม่ทราบว่ามีอยู่

การสร้างกระบวนการค้นหา ประเมิน จัดการ และติดตามความเสี่ยงอย่างต่อเนื่อง จึงเป็นส่วนสำคัญของการยกระดับความมั่นคงปลอดภัยทางไซเบอร์สำหรับองค์กร

BigFish ให้ความสำคัญกับการบริหารความเสี่ยงดิจิทัลและการรักษาความปลอดภัยทางไซเบอร์สำหรับองค์กร โดยการเลือกแนวทางและโซลูชันที่เหมาะสมควรเริ่มจากการทำความเข้าใจสภาพแวดล้อม IT ความเสี่ยง และเป้าหมายทางธุรกิจของแต่ละองค์กร

อย่ารอให้ผู้โจมตีค้นพบจุดอ่อนก่อนคุณ

หากองค์กรของคุณต้องการประเมินความเสี่ยงและวางแนวทางยกระดับ Cybersecurity สามารถติดต่อ BigFish เพื่อพูดคุยเกี่ยวกับความต้องการและแนวทางที่เหมาะสมกับองค์กรของคุณได้ที่ www.bigfish.co.th

Find Your Blind Spots Before Attackers Do.